Sintesi

Questo CSIRT ha recentemente rilevato una campagna di smishing a tema ATAC, (Azienda per la mobilità di Roma Capitale S.p.A), perpetrata via SMS, volta a carpire dati relativi alla carta di pagamento della potenziale vittima.

Descrizione e potenziali impatti

Nel dettaglio, il messaggio SMS, informa la potenziale vittima di una presunta mancata convalida del proprio titolo di viaggio “Tap&Go” durante un trasporto su uno dei mezzi pubblici, esortando la stessa a visitare un link presente nel testo del messaggio, al fine di “sanare” la situazione (Figura 1).

Qualora dato seguito al link proposto nel messaggio SMS, la vittima viene reindirizzata verso una pagina opportunamente predisposta (Figura 2) – riportante una “verifica CAPTCHA”, al fine di assicurare che la pagina Internet sia stata richiesta da un utente reale, e non da un bot.

Superata la verifica, l’utente viene reindirizzato verso una pagina opportunamente predisposta (Figura 3) – riportante i loghi e riferimenti riconducibili ai servizi erogati da ATAC – che conferma la necessità di regolarizzare un presunto viaggio pregresso, attraverso il pagamento di una transazione di Euro 1,50 a fronte di una “sanzione massima” di importo pari a 100 Euro.

La pagina propone alla vittima, la possibiità di effettuare il pagamento tramite carta di credito o tramite Paypal, il noto servizio di pagamenti sicuri on line.

Una volta selezionato il pagamento a mezzo carta di credito, alla vittima è richiesto l’inserimento dei dati della stessa (Figura 4).

Successivamente, la pagina web simula il compimento della transazione, visualizzando una finestra di attesa (Figura 5).

Infine, la vittima viene indirizzata verso un’ultima pagina nella quale si richiede di tentare nuovamente la transazione, a causa del timeout della sessione di pagamento.  (Figura 6).

Azioni di mitigazione

Gli utenti e le organizzazioni possono far fronte a questa tipologia di attacchi verificando scrupolosamente le comunicazioni ricevute e attivando le seguenti misure aggiuntive:

• fornire periodiche sessioni di formazione finalizzate a riconoscere il phishing, lo smishing e il vishing, diffidando da comunicazioni inattese;
• evitare di inserire i propri dati sensibili su portali di cui non si conosce l’affidabilità;
• evitare di dar seguito a comunicazioni di questo tipo;
• segnalare comunicazioni similari alla Polizia Postale e a questo CSIRT.

Infine, si raccomanda di valutare l’implementazione sui propri apparati di sicurezza degli Indicatori di Compromissione (IoC) [1] forniti in allegato.

[1] Per definizione, non tutti gli indicatori di compromissione sono malevoli. Questo CSIRT non ha alcuna responsabilità per l’attuazione di eventuali azioni proattive (es. inserimento degli IoC in blocklist) relative agli indicatori forniti. Le informazioni contenute in questo documento rappresentano la migliore comprensione della minaccia al momento del rilascio.